Åttesifret gjenopprettingskode gjorde at angripere kunne overta kontoer på sekunder. Funksjonen skulle gjøre konto-gjenoppretting enklere, men lot en chatbot knytte nye e-postadresser til målkontoer slik at koder ble sendt til angripernes adresser. Meta skrev på X at feilen nå er rettet og at selskapet jobber med å sikre berørte kontoer. Saken viser hvordan automatiserte verktøy uten sterk identitetskontroll kan bli et verktøy for digitale angrep.

Funksjonen skulle gjøre passordtilbakestilling enklere, men ble utnyttet til å gi angripere tilgang, og angrepet var både teknisk og sosialt. Angriperne ba AI-chatboten om å lenke en ny e-postadresse til et bestemt brukernavn, oppga en e-postadresse de kontrollerte, og mottok deretter en åttesifret kode som kunne brukes til å tilbakestille passordet og ta over kontoen.

Metoden og målene

404 Media videreformidlet hvordan dialogen med boten var unnfallen enkel: en ansattlignende forespørsel om å legge til en e-postadresse, etterfulgt av at chatboten sendte en gjenopprettingskode. Videoer delt i Telegram-grupper viste hele forløpet, og angrepene konsentrerte seg om korte og verdifulle brukernavn. Ifølge The Verge og TMZ, gjengitt i Tek.no, var blant de kompromitterte kontoene @obamawhitehouse, en konto knyttet til en sjefsersjant i US Space Force, kosmetikkjeden Sephora, og sikkerhetsforskeren Jane Manchun Wong.

Når AI-en hadde lenket angriperens e-postadresse, ble gjenopprettingskoder sendt til den adressen og den opprinnelige eieren ble låst ute i løpet av sekunder. Noen av kontoene ble senere brukt til å publisere datagenerert innhold eller videreselge brukernavn, ifølge dekningen som har fulgt angrepene.

Mastheads

Teknikkene bak angrepene

Angripernes taktikk kombinert sosial manipulering med tekniske tiltak for å unngå deteksjon. De brukte VPN og proxy-tjenester for å simulere offerets geografiske plassering, noe som begrenset tidlige varslingsmekanismer fra å slå inn. Sikkerhetseksperter kaller dette en form for prompt injection, der en modell eller chatbot blir bedt om å utføre en handling den ikke burde godta uten sterk autentisering.

Europa-baserte sikkerhetsmiljøer pekte på at uovervåket automatisering kan omgå protokoller man tidligere antok var sikre, og at angripere i økende grad kombinerer phishingverktøy, proxy-tjenester og AI for å heve suksessraten i digitale angrep. Appguias meldte at Meta distribuerte en nødoppdatering for å korrigere logikklaget som sørget for den uautoriserte e-posttilknytningen.

Meta har bekreftet at de jobber med å sikre berørte kontoer, og at feilen nå er rettet. For virksomheter betyr dette at gamle sikkerhetsantakelser ikke lenger er tilstrekkelige. NKRF gjenga anbefalinger om at virksomheter bør innføre phishing-resistent autentisering, særlig for Microsoft 365 og andre skyløsninger.

På brukersiden anbefalte flere europeiske sikkerhetseksperter applikasjonsbasert tofaktorautentisering for private kontoer for å redusere risikoen. NKRF påpekte også at angripere kan bruke kompromitterte kontoer til å spre angrep internt, og at mange angrep først blir oppdaget når organisasjonenes egne responsmiljøer varsler om uregelmessigheter.

Sammenfattet viser angrepene at automatiserte støtteverktøy trenger sterkere identitetsverifisering og bedre overvåking. Når en chatbot kan endre hvilken e-postadresse som er knyttet til en konto uten ekstra sikkerhetssjekk, oppstår et operasjonelt sårbarhetsvindu som angripere kan utnytte. Metas nødoppdatering retter logikken som tillot uautoriserte eposttilknytninger, men hendelsen illustrerer også en bredere trend i trusselbildet.

Related Articles

Nøkkelen i angrepene var en åttesifret gjenopprettingskode sendt til angripernes e-post, et konkret tegn på at automatiserte kontoendringer må kreve sterkere verifisering.

Denne artikkelen er laget med hjelp av AI.